Nach Artikel 23 Absatz 3 NIS2 ist ein Sicherheitsvorfall erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung oder erhebliche materielle oder immaterielle Schäden bei anderen verursacht hat oder verursachen kann. Eine Zahl nennt die Richtlinie nicht. Für Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten und andere digitale Anbieter legt die Durchführungsverordnung (EU) 2024/2690 konkrete Schwellenwerte fest.
Dieser Leitfaden behandelt den rechtlichen Maßstab, wer entscheidet, die Schwellenwerte für digitale Anbieter, nationale Kriterien, einen Entscheidungsbaum, den Unterschied zu einer Verletzung des Schutzes personenbezogener Daten nach DSGVO, was der Maßstab offenlässt, und eine Checkliste.
| Ebene | Gilt für | Erheblich, wenn | Quelle |
|---|---|---|---|
| Allgemeiner Maßstab | Alle wesentlichen und wichtigen Einrichtungen | Schwerwiegende Betriebsstörung oder finanzieller Verlust für die Einrichtung oder erhebliche Schäden für andere, eingetreten oder möglich | NIS2 Art. 23 Abs. 3 |
| Kriterien für digitale Anbieter | DNS, TLD, Cloud, Rechenzentren, CDN, MSP, MSSP, Online-Plattformen, Vertrauensdienste | Direkter Verlust über 500.000 EUR oder 5 % des Umsatzes, je nachdem, welcher Betrag niedriger ist; weitere allgemeine Kriterien; wiederkehrende Sicherheitsvorfälle; dienstspezifische Schwellenwerte | DVO 2024/2690 Art. 3 bis 14 |
| Nationale Kriterien | Je nach Land | Faktoren oder Schwellenwerte, die manche Behörden ergänzen | Nationales Recht und Leitlinien |
Was ist ein erheblicher Sicherheitsvorfall nach NIS2?
Ein Sicherheitsvorfall ist nach Artikel 6 Nummer 6 jedes Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder der Dienste Ihrer Systeme beeinträchtigt. Die meisten Sicherheitsvorfälle sind nicht erheblich.
Artikel 23 Absatz 3 legt den Maßstab fest. Ein Sicherheitsvorfall gilt als erheblich, wenn
- „er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann“; oder
- „er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann“.
Der erste Teil blickt nach innen, auf Ihre Dienste und Ihr Geld. Der zweite blickt nach außen, auf Kunden, Nutzer und alle anderen, die Ihr Sicherheitsvorfall erreicht. Einer von beiden genügt.
Was bedeutet „verursachen kann“?
Sie warten nicht auf den Schaden. Ein Eindringen, das in Stunde drei eingedämmt wurde, aber Ihren Kerndienst hätte stoppen können, kann erheblich sein. Erwägungsgrund 101 beschreibt die Meldung von Sicherheitsvorfällen, die auf der Grundlage einer von der betreffenden Einrichtung vorgenommenen ersten Bewertung schwerwiegende Störungen, Verluste oder Schäden verursachen könnten. Ransomware auf einem Produktivsystem ist der Lehrbuchfall, behandelt in NIS2 und Ransomware.
Was muss die Bewertung berücksichtigen?
„Schwerwiegend“ und „erheblich“ sind nicht definiert. Nach Erwägungsgrund 101 sollte die erste Bewertung die betroffenen Systeme berücksichtigen, insbesondere ihre Bedeutung für die Erbringung der Dienste der Einrichtung, außerdem die Schwere und die technischen Merkmale der Bedrohung, etwaige ausgenutzte Schwachstellen und Ihre Erfahrungen mit ähnlichen Sicherheitsvorfällen. Weiter heißt es dort, dass das Ausmaß, in dem die Funktionsfähigkeit des Dienstes beeinträchtigt ist, die Dauer eines Sicherheitsvorfalls oder die Zahl der betroffenen Dienstempfänger zeigen können, ob eine Störung schwerwiegend ist. Eine Lohnabrechnung, die einen Vormittag lang ausfällt, und Ihre Kundenplattform, die einen Vormittag lang ausfällt, sind unterschiedliche Sicherheitsvorfälle.
Wer entscheidet, ob ein Sicherheitsvorfall erheblich ist?
Sie. Artikel 23 Absatz 1 legt die Meldepflicht der Einrichtung auf, und Erwägungsgrund 101 stützt sie auf die eigene erste Bewertung der Einrichtung.
Für die digitalen Anbieter, die unter die Verordnung 2024/2690 fallen, legt deren Erwägungsgrund 31 fest, ab wann Sie „Kenntnis“ haben: sobald die Einrichtung nach einer zeitnahen Anfangsbewertung „mit hinreichender Gewissheit feststellt, dass ein erheblicher Sicherheitsvorfall vorliegt“. Die Bewertung selbst muss zeitnah erfolgen; eine langsame Bewertung verschafft also keine Zeit.
Die Sicht der Behörde kommt danach. Sie kann Sie anweisen, den Meldepflichten nach Artikel 23 in einer bestimmten Weise und innerhalb einer bestimmten Frist nachzukommen (Artikel 32 Absatz 4 Buchstabe d und Artikel 33 Absatz 4 Buchstabe d). Bei wesentlichen Einrichtungen kann ein erheblicher Sicherheitsvorfall eine Ad-hoc-Prüfung rechtfertigen (Artikel 32 Absatz 2 Buchstabe c). Für Verstöße gegen Artikel 23 gelten Geldbußen nach Artikel 34.
Daraus folgen zwei Konsequenzen, beide aus der Praxis, nicht aus dem Gesetz:
- Halten Sie jede Bewertung fest, auch wenn Sie sich gegen eine Meldung entscheiden: Zeitpunkt, bekannte Fakten, geprüftes Kriterium, Ergebnis.
- Ein Grenzfall, den Sie mit Begründung gemeldet haben, ist leichter zu verteidigen als einer, den Sie für sich behalten haben. Unterhalb der Schwelle können Sie nach Artikel 30 weiterhin freiwillig Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle melden.
Ist ein Sicherheitsvorfall erheblich, finden Sie die Fristen im Beitrag zu den NIS2-Meldefristen.
Welche NIS2-Meldeschwellen gelten für digitale Anbieter?
Artikel 23 Absatz 11 verpflichtete die Kommission, festzulegen, wann ein Sicherheitsvorfall für bestimmte digitale Anbieter erheblich ist. Das hat sie mit der Durchführungsverordnung (EU) 2024/2690 getan, die seit dem 7. November 2024 in Kraft ist und in jedem Mitgliedstaat unmittelbar gilt. Sie erfasst DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke sowie Vertrauensdiensteanbieter, die Artikel 23 Absatz 11 nicht nannte.
Die allgemeinen Kriterien, Artikel 3
Ein Sicherheitsvorfall ist für diese Anbieter erheblich, wenn eines oder mehrere der folgenden Kriterien erfüllt sind:
- ein direkter finanzieller Verlust, eingetreten oder möglich, von mehr als 500.000 EUR oder 5 % des jährlichen Gesamtumsatzes des Vorjahres, je nachdem, welcher Betrag niedriger ist;
- ein Abfluss von Geschäftsgeheimnissen, eingetreten oder möglich;
- der Tod oder eine schwere Schädigung der Gesundheit einer Person, eingetreten oder möglich;
- ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff auf Systeme, der schwerwiegende Betriebsstörungen verursachen kann;
- der Test für wiederkehrende Sicherheitsvorfälle in Artikel 4 oder ein dienstspezifisches Kriterium in den Artikeln 5 bis 14.
Planmäßige Wartungsarbeiten zählen nicht. Nach Erwägungsgrund 36 umfasst der direkte finanzielle Verlust Ersatzhardware und -software, Personalkosten und Überstunden, Vertragsstrafen, Entschädigungen für Kunden, entgangene Einnahmen sowie Kosten für Kommunikation, Rechtsberatung, Forensik und Behebung. Verwaltungsgeldbußen und normale laufende Kosten zählen nicht dazu.
Wiederkehrende Sicherheitsvorfälle, Artikel 4
Sicherheitsvorfälle, die einzeln nicht erheblich sind, gelten zusammen als ein erheblicher Sicherheitsvorfall, wenn sie innerhalb von sechs Monaten mindestens zweimal aufgetreten sind, dieselbe offensichtliche Ursache haben und zusammen die Schwelle für finanzielle Verluste überschreiten. Das erkennen Sie nur, wenn Ihr Vorfallsregister die Grundursachen erfasst.
Dienstspezifische Kriterien, Artikel 5 bis 14
Ein einziges Kriterium genügt. Nutzer werden in der EU gezählt; nach Artikel 3 Absatz 3 zählen dazu Kunden mit Vertrag und Personen, die mit Ihren Geschäftskunden verbunden sind. Wo zwei Werte genannt sind, gilt der kleinere.
| Artikel | Anbieter | Erheblich, wenn zum Beispiel |
|---|---|---|
| 5 | DNS-Diensteanbieter | Länger als 30 Minuten vollständig nicht verfügbar; Antwortzeiten über 10 Sekunden für mehr als eine Stunde; Daten kompromittiert (enge Ausnahme bei Fehlkonfiguration) |
| 6 | TLD-Namenregister | Autoritative Namensauflösung vollständig nicht verfügbar, unabhängig von der Dauer; Antwortzeiten über 10 Sekunden für mehr als eine Stunde; technische Daten kompromittiert |
| 7, 9, 10 | Cloud, CDN, MSP, MSSP | Länger als 30 Minuten vollständig nicht verfügbar; für mehr als 5 % der Nutzer oder 1 Million länger als eine Stunde eingeschränkt verfügbar; Daten durch mutmaßlich böswillige Handlung kompromittiert oder für mehr als 5 % der Nutzer oder 1 Million |
| 8 | Rechenzentren | Vollständig nicht verfügbar; länger als eine Stunde eingeschränkt verfügbar; Daten durch mutmaßlich böswillige Handlung kompromittiert; physischer Zugang kompromittiert |
| 11 bis 13 | Marktplätze, Suchmaschinen, soziale Netzwerke | Vollständig nicht verfügbar oder eingeschränkt verfügbar für mehr als 5 % der Nutzer oder 1 Million; Daten durch mutmaßlich böswillige Handlung kompromittiert oder für mehr als 5 % der Nutzer oder 1 Million |
| 14 | Vertrauensdiensteanbieter | Länger als 20 Minuten vollständig nicht verfügbar; mehr als eine Stunde pro Kalenderwoche nicht verfügbar; eingeschränkt verfügbar für mehr als 1 % oder 200.000 Nutzer oder vertrauende Beteiligte; physischer Zugang kompromittiert; Daten für mehr als 0,1 % oder 100 Nutzer kompromittiert |
Beachten Sie das Kriterium der mutmaßlich böswilligen Handlung: In den Artikeln 7 bis 13 ist eine Kompromittierung von Dienstdaten durch eine mutmaßlich böswillige Handlung ohne jede Größenbedingung erheblich. Bei einem MSP kann ein mutmaßlicher Angreifer in den Werkzeugen, mit denen Kundenumgebungen verwaltet werden, dieses Kriterium erfüllen, bevor irgendein Kunde etwas bemerkt. Mehr dazu in NIS2 für Anbieter verwalteter Dienste.
Können nationale Vorschriften Schwellenwerte ergänzen?
Ja. NIS2 legt ein Mindestniveau fest: Nach Artikel 5 können die Mitgliedstaaten Bestimmungen erlassen oder beibehalten, die ein höheres Cybersicherheitsniveau gewährleisten. Das lässt nationalen Gesetzen und Behörden Raum, den allgemeinen Maßstab zu konkretisieren. Artikel 23 Absatz 11 erlaubt der Kommission außerdem, Regeln zur Erheblichkeit für andere Einrichtungen zu erlassen; bislang erfasst die Verordnung 2024/2690 nur die oben genannten digitalen Anbieter.
Die luxemburgische Regulierungsbehörde etwa fragt Einrichtungen, welche Faktoren zutreffen: Zahl und Anteil der betroffenen Nutzer, Dauer, geografische Ausdehnung, direkter finanzieller Verlust, materielle und immaterielle Schäden, Reputationsschaden oder Medienberichterstattung, Abfluss von Geschäftsgeheimnissen oder anderen sensiblen Informationen, Tod oder Gesundheitsschäden sowie unbefugter Zugriff. Das Verfahren beschreibt der Beitrag zur Meldung von NIS2-Sicherheitsvorfällen in Luxemburg. Prüfen Sie die Leitlinien Ihrer eigenen Behörde, bevor Sie Ihre Kriterien schriftlich festlegen.
Wie entscheiden Sie schnell? Ein Entscheidungsbaum
ERHEBLICHER SICHERHEITSVORFALL NACH NIS2: ENTSCHEIDUNG IN DEN ERSTEN STUNDEN
0. Sicherheitsvorfall? Uhrzeit und bewertende Person festhalten.
Weiter mit 1.
1. Sind Sie ein digitaler Anbieter nach Verordnung 2024/2690?
Ja -> weiter mit 2. Nein -> weiter mit 4.
2. Artikel 3: Trifft eines davon zu, jetzt oder potenziell?
[ ] direkter Verlust > 500.000 EUR oder 5 % des Umsatzes
(der niedrigere Wert)
[ ] Abfluss von Geschäftsgeheimnissen
[ ] Tod oder schwere Schädigung der Gesundheit
[ ] erfolgreicher, mutmaßlich böswilliger, unbefugter Zugriff,
der schwerwiegende Betriebsstörungen verursachen kann
Ja -> ERHEBLICH. Nein -> weiter mit 3.
3. Ihr dienstspezifisches Kriterium aus Artikel 5 bis 14 erfüllt?
Oder wiederkehrend: mindestens zweimal in 6 Monaten, dieselbe
offensichtliche Ursache, zusammen über der Verlustschwelle
(Artikel 4)?
Ja -> ERHEBLICH.
Nein -> nach den Kriterien der Verordnung nicht erheblich.
Begründung festhalten. Bei neuen Fakten neu bewerten.
4. Artikel 23 Absatz 3, für alle anderen:
a) schwerwiegende Betriebsstörung Ihrer Dienste oder
finanzieller Verlust für Sie, eingetreten oder möglich?
b) erhebliche materielle oder immaterielle Schäden bei
anderen, eingetreten oder möglich?
Abwägen: betroffene Systeme, betroffener Anteil des Dienstes,
Dauer, betroffene Empfänger, Bedrohung.
Nationale Kriterien anwenden.
Ja bei a) oder b) -> ERHEBLICH.
Grenzfall -> entscheiden, Begründung festhalten.
In der Praxis ist eine Meldung leichter zu verteidigen.
5. ERHEBLICH -> Frühwarnung binnen 24 h nach Kenntniserlangung.
Personenbezogene Daten betroffen? DSGVO-Prüfung parallel.Ist ein erheblicher Sicherheitsvorfall dasselbe wie eine Datenschutzverletzung nach DSGVO?
Nein. Die beiden Tests stellen unterschiedliche Fragen, und ein Vorfall kann den einen, den anderen, beide oder keinen erfüllen.
| Erheblicher Sicherheitsvorfall nach NIS2 | Verletzung des Schutzes personenbezogener Daten nach DSGVO | |
|---|---|---|
| Was es ist | Schwerwiegende Störung oder finanzieller Verlust für Sie oder erhebliche Schäden für andere, eingetreten oder möglich | Eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang zu ihnen führt |
| Wer meldet | Die wesentliche oder wichtige Einrichtung | Der Verantwortliche |
| Schwelle | Der Erheblichkeitstest | Meldung, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Personen |
| An wen | CSIRT oder zuständige Behörde | Datenschutzaufsichtsbehörde |
Drei Beispiele, als Einschätzung aus der Praxis:
- Ransomware verschlüsselt die Produktivplattform und kopiert Kundendatensätze: wahrscheinlich beides.
- Ein Denial-of-Service-Angriff legt ein Kundenportal für Stunden lahm, ohne dass personenbezogene Daten berührt werden: kann nach NIS2 erheblich sein und ist keine Verletzung des Schutzes personenbezogener Daten.
- Eine E-Mail mit den Gesundheitsdaten eines Kunden geht an die falsche Person: eine Verletzung des Schutzes personenbezogener Daten, die möglicherweise gemeldet werden muss, und selten ein erheblicher Sicherheitsvorfall.
Die Behörden stehen in Kontakt: Stellt eine NIS2-Behörde fest, dass ein Verstoß gegen Artikel 21 oder 23 eine meldepflichtige Verletzung des Schutzes personenbezogener Daten zur Folge haben kann, unterrichtet sie die Datenschutzaufsichtsbehörde (Artikel 35). Mehr dazu in NIS2 und DSGVO.
Was lässt der Erheblichkeitstest in der Praxis offen?
Das Gesetz gibt Ihnen Kriterien, keine Eingangsdaten. Jeder Schwellenwert in der Verordnung 2024/2690 ist eine Messgröße: Minuten der Nichtverfügbarkeit, ein Anteil der Nutzer in der EU, Euro an direktem Verlust. Selbst beim allgemeinen Maßstab verweist Erwägungsgrund 101 darauf, wie viele Empfänger betroffen waren und wie lange. Was Sie in Stunde zwei nicht messen können, können Sie in Stunde zwei nicht entscheiden. Diese Lücke schließen Sie vor dem Sicherheitsvorfall:
- eine Zuordnung von Systemen zu Diensten zu Kunden, mit Nutzerzahlen, damit „5 % der Nutzer“ nur ein Nachschlagen ist;
- ein Verfügbarkeitsmonitoring, das festhält, wann jeder Dienst ausfiel und wann er wieder lief;
- eine Verlustschätzung pro Dienst und pro Ausfallstunde, damit 500.000 EUR eine Rechnung ist und keine Debatte;
- durchsuchbare Logs, lange genug aufbewahrt, um zu zeigen, ob ein Zugriff böswillig war und was er erreicht hat;
- eine benannte entscheidende Person mit Vertretung und eine einzige Vorfallsdokumentation, die jede Bewertung enthält.
Die meisten dieser Daten liegen bereits in Ihren Monitoring-, Identitäts- und Ticketsystemen, wenn etwas sie erfasst und verknüpft. Die CloudSoul Plattform tut das laufend: automatisierte Erfassung von Nachweisen, mit Human-in-the-Loop-Expertise für Entscheidungen, die ein Tool nicht allein treffen sollte, etwa ob ein Sicherheitsvorfall erheblich ist. Das Gesamtprogramm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste: erheblicher Sicherheitsvorfall nach NIS2
- Formulieren Sie den Maßstab aus Artikel 23 Absatz 3 für Ihre eigenen Dienste: was schwerwiegende Störung und erheblicher Schaden für jeden Dienst bedeuten.
- Wenn Sie ein digitaler Anbieter sind, listen Sie die für Sie geltenden Kriterien der Verordnung 2024/2690 und die jeweils zugrunde liegende Messgröße auf.
- Führen Sie eine Dienstübersicht mit Nutzerzahlen und einer Verlustschätzung pro Ausfallstunde.
- Benennen Sie, wer über die Erheblichkeit entscheidet, und eine Vertretung; beide müssen auch außerhalb der Geschäftszeiten erreichbar sein.
- Halten Sie jede Bewertung fest, auch zu Sicherheitsvorfällen, die Sie nicht melden.
- Erfassen Sie Grundursachen, damit ein zweiter Vorfall innerhalb von sechs Monaten auffällt.
- Führen Sie die DSGVO-Prüfung parallel durch, auf Basis derselben Vorfallsdokumentation.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 5, 6, 23, 30, 32, 33, 34 und 35 und Erwägungsgrund 101, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 1, 3 bis 14 und 16 und Erwägungsgründe 31 und 36, EUR-Lex.
- Verordnung (EU) 2016/679 (DSGVO), Artikel 4 Nummer 12, 33 und 34, EUR-Lex.
- ILR, Meldung von Sicherheitsvorfällen, aktualisiert am 6. Juli 2026.
Häufige Fragen
Was ist ein erheblicher Sicherheitsvorfall nach NIS2?
Nach Artikel 23 Absatz 3 der Richtlinie (EU) 2022/2555 ist ein Sicherheitsvorfall erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann.
Gibt es nach NIS2 eine zahlenmäßige Meldeschwelle?
Nicht in der Richtlinie selbst. Für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Plattformen und Vertrauensdiensteanbieter legt die Durchführungsverordnung (EU) 2024/2690 konkrete Kriterien fest, etwa einen direkten finanziellen Verlust von mehr als 500.000 EUR oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist.
Wer entscheidet, ob ein Sicherheitsvorfall erheblich ist?
Die Einrichtung, auf Grundlage ihrer eigenen ersten Bewertung. Die zuständige Behörde kann diese Entscheidung später überprüfen, die Einrichtung anweisen, ihren Meldepflichten nach Artikel 23 nachzukommen, und Verstöße gegen Artikel 23 mit Geldbußen ahnden.
Wann ist ein Sicherheitsvorfall bei einem Anbieter verwalteter Dienste erheblich?
Unter anderem, wenn ein verwalteter Dienst oder verwalteter Sicherheitsdienst länger als 30 Minuten vollständig nicht verfügbar ist oder wenn Daten im Zusammenhang mit dem Dienst infolge einer mutmaßlich böswilligen Handlung kompromittiert werden (Artikel 10 der Durchführungsverordnung (EU) 2024/2690).
Ist ein erheblicher Sicherheitsvorfall nach NIS2 dasselbe wie eine Datenschutzverletzung nach DSGVO?
Nein. Eine Verletzung des Schutzes personenbezogener Daten betrifft personenbezogene Daten und wird der Datenschutzaufsichtsbehörde gemeldet, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen. Ein erheblicher Sicherheitsvorfall betrifft Störungen, Verluste oder Schäden und wird dem CSIRT oder der zuständigen Behörde gemeldet. Ein Vorfall kann beides sein.
